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(57) Abstract: The invention relates to a multi-core redundant control computer system (5) comprising at least two control com- 
puters (1, 2) that, in addition to respectively having a computer core, are equipped with partially or completely redundant peripheral 
elements and with partially or completely redundant memory elements and are integrated on a shared chip carrier (28) or on a shared 
chip (7, 27). The at least two control computers (1, 2) are connected to at least one shared first arbitration unit (9) that monitors the 
control computers (I, 2) up to an error function. The invention also relates to a computer network (11) consisting of at least two 
computer blocks (32, 32' ) that communicate directly or indirectly with one another, whereby at least one computer block (32, 32\) 
contains two control computers (1,2) that, in addition to respectively having a computer core, are equipped with partially or com- 
pletely redundant peripheral elements and with partially or completely redundant memory elements and are integrated on a shared 
chip carrier (28) or on a shared chip (7, 27). The invention additionally relates to the use of the computer network ( 1 1) in a vehicle 
control computer. 

(57) Zusammenfassung: Die Erfindung betrifft ein mehrkerniges redundames Kontrollrechnersystem (5), bei dem mit mindestens 
zwei Konirollrechner (I, 2), wclche neben jewcils einem Rechnerkern mil teil- oder vollredundanten Peripherieelementen und teil- 
oder vollredundanten Speicherclementen ausgestattet sind, auf einem gemeinsamen Chiptrager 
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(28) odcr einem gemeinsamen Chip (7, 27) integriert sind, wobei die mindestens zwei Kontrollrechner (1,2) mil mindestens einer 
gemeinsamen ersten Arbitrationseinheit (9), welche die Kontrollrechner (I, 2) auf eine Fehlfunktion hin iiberwacht, verbunden sind. 
Weiterhin betrifft die Erfindung einen Rechnerverbund (1 1) aus mindestens zwei miteinanderdirektoderindirekt kommunizierenden 
Rechnerblocken (32, 32 ), wobei mindestens ein Rechnerblock (32, 32 ) zwei Kontrollrechner (1, 2) beinhaltet, welche neben jeweils 
einem Rechnerkern mit teil- oder vollredundanten Peripherieelementen und teil- oder vollredundanten Speicherelementen ausges- 
tattet sind, auf einem gemeinsamen Chiptrager (28) oder einem gemeinsamen Chip (7, 27) integriert sind. Des weiteren betrifft die 
Erfindung die Verwendung des Rechnerverbunds (1 1) in einem Fahrzeugkontrollrechner. 
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Mehrkerniges redandantes Kontrollrechner system, Rechnerver- 
bund fur sicherheitskritische Anwendungen in Kraf tfahrzeugen 
sowie dessen Verwendung 

Die Erfindung betrif ft ein mehrkerniges redundantes Kon- 
trollrechnersystem fur sicherheitskritische Anwendungen in 
Kraftfahrzeugen, sowie einen Rechnerverbund gemafi Oberbeg- 
riff von Anspruch 9 und dessen Verwendung in einem Fahrzeug- 
kontrollrechner . 

Es ist bekannt, fur sicherheitskritische Anwendungen/Systeme 
im Kraftfahrzeug (wie z. B. elektronische Bremssysteme ABS, 
Elektronisches Stabilitats-Programm ESP, elektrohydraulische 
Bremse, brake by wire etc.) Kontrollrechner (Mikrocontroller 
etc.) einzusetzen. Diese sogenannten elektronischen Regler 
bzw. Steuergerate weisen bereits heute je nach Ausfuhrungs- 
variante physikalische und/oder funktionale Riickf allebenen 
auf . 

Eine hydraulische Riickf allebene wird beispielsweise dadurch 
realisiert, dass bei einer blockiergeschutzten Bremsanlage 
im Fehlerfall der elektronische ABS-Regler abgeschaltet 
wird. Die bei abgeschaltetem Regler stromlosen Hydraulikven- 
tile sind so konzipiert, dass eine gewohnlich Bremsung (ohne 
ABS) weiterhin vorgenommen werden kann. Es kann also bei 
Ausfall des Systems Oder Systemteilen (z. B. Hydraulik bei 
Bremssystemen) ein Not-/ bzw. eingeschrankter Betrieb ge- 
wahrleistet werden. Bei Systemen mit mechanischer Riickf all- 
ebene (eingeschrankte Funktionalitat) geniigt es demzufolge, 
die Kontrollrechner bei Erkennung eines Fehlers (Rechenfeh- 
ler, Speicherfehler etc.) auszuschalten oder von der Peri- 
pherie an geeigneter Stelle abzukoppeln. Dies kann zum Bei- 
spiel dadurch erfolgen, dass der Kontrollrechner zwei 
gleichartige Mikroprozessorkerne umfasst, welche parallel 
und synchron das gleiche Programm abarbeiten. Bei einer Ab- 
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weichung der Rechenergebnisse wircl das Rechnersystem abge- 
schaltet . 

In ahnlicher Weise lassen sich funktionelle Riickf allebenen 
realisieren. Wenn eine komplexe hoherwertige Software- 
Funktion (z. B. ESP) fehlerhaft ist, wird diese stillgelegt, 
wobei die Software-Funktion mit niedrigerem Rang (z. B. ABS) 
weiterhin f unktionsf ahig bleibt. 

Der Einsatz von sicherer elektronischer Hardware zur Steue- 
rung und Regelung von Fahrzeugfunktionen in modernen Kraft- ^ 
fahrzeugen nimmt standig zu, Dabei wird besonders auf eine 
hohe Ausfallsicherheit bzw. eine f ehlertolerante Ausfiihrung 
(Redundanzkonzept) der elektronischen Steuergerate geachtet. 

Zum Beispiel bei zukunftigen nichthydraulischen Bremssyste- 
men, wie x-by-wire (z. B. elektromechanische Bremse) ist ei- 
ne physikalische (hydraulische) Riickf allebene, wie sie wei- 
ter oben beschriebenen ist, nicht mehr vorhanden. Bei ent- 
sprechend ausgefuhrten Systemen besteht dann das Problem, 
dass die bisher bekannten selbstabschaltenden elektronischen 
Steuergerate nicht mehr eingesetzt werden konnen, 

Aufgabe der vorliegenden Erfindung ist es, ein fehlertole- 
rantes elektronisches Steuergerat anzugeben, welches ausge- 
sprochen ausf allsicher ist und dessen Verfiigbarkeit hin- 
sichtlich des Mikroprozessorsystems hoher ist, als dies bei 
bisher bekannten Mikroprozessorkonzepten der Fall ist. 

Diese Aufgabe wird durch einen Rechnerverbund gemafi Anspruch 
9 gelost. 

In einer vorteilhaf ten Weiterbildung des erf indungsgemaBen 
Rechnerverbunds enthalt mindestens ein Rechnerblock, insbe- 
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sondere alle Rechnerblocke, ein Kontrollrechnersystem gemaB 
mindestens einem der Anspriiche 1 bis 8. Ein Vorteil des er- 
findungsgemaBen Rechnerverbunds besteht darin, dass durch 
Verwendung praktisch identischer Rechnerblocke, die u. a. 
Kontrollrechnersysteme enthalten, ein kostengunstig herzu- 
stellendes System vorliegt, was auf Grund seines modularen 
Aufbaus durch geringe Anderungen an herstellerspezif ische 
Anforderungen (z. B. f ehlerabschaltendes oder fehlertoleran- 
tes Bremssystem) angepasst werden kann. Weiterhin ist mit- 
tels des erf indungs gemaB en Rechnerverbunds eine nahezu voll- 
O standige Fehlererkennung bei gleichzeitiger Auf rechterhal- 

tung der vollen Funktionalitat moglich. Weiterhin kann die 
Verfiigbarkeit des vorgestellten Rechnerverbundes durch Hin- 
zufiigen weiterer Kontrollrechnersysteme fast beliebig erhoht 
werden. Des weiteren zeichnet sich der vorgestellte Rechner- 
verbund durch einen geringen Chipf lachenverbrauch aus. 

Eine weitere bevorzugte Ausf iihrungsf orm des erf indungsgema- 
lien Rechnerverbundes sieht vor, den Rechnerverbund in soge- 
nannter „HeiBer Reserve" zu betreiben, wobei alle Kontroll- 
rechner permanent Daten an einen vorzugsweise redundanten 
Fahrzeugdatenbus, insbesondere in getrennten Zeitschlitzen/ 
O -fenstern senden. In einem Fehlerfall schaltet die Arbitrie- 

rungseinheit des fehlerhaften Kontrollrechnersystems den Da- 
tenfluss der fehlerhaften Einheit zum Fahrzeugdatenbus ab. 
Somit ist sichergestellt, dass immer nur gultige Daten iiber 
den Fahrzeugdatenbus gesendet werden. Der Konsument der Da- 
ten, wie z. B. Aktoren oder Sensoren, entscheidet vorzugs- 
weise, welche der redundant ubertragenen Inf ormationen ver- 
wendet wird. 

In einer weiteren bevorzugten Ausf uhrungs form des erfin- 
dungsgemafien Rechnerverbundes liefert nur z. B. das erste 
Kontrollrechnersystem permanent Daten an den Fahrzeugdaten- 



BNSDOCID: <WO 03050624A1J_> 



WO 03/050624 



PCT/EP02/13943 



- 4 - 

bus, wahrend das zweite Kontrollrechnersystem zwar dieselben 
Rechenoperationen durchfuhrt, aber nicht an den Fahrzeugda- 
tenbus angeschlossen ist. Hierbei kann im Fehlerfall der Da- 
tenfluss vom ersten Kontrollrechnersystem zum Fahrzeugdaten- 
bus unterbrochen und dieser durch das zweite Kontrollrech- 
nersystem iibernommen werden. 

In einer weiteren bevorzugten Ausfuhrungsform enthalten die 
Rechnerblocke keine Arbitrationseinheiten, sondern sind nur 
mit einer bzw. mehreren Arbitrationseinheiten verbunden. 

In einer anderen bevorzugten Ausfuhrungsform enthalt nur ein 
erster Rechnerblock eine bevorzugt redundante Arbitration- 
seinheit, wohingegen ein zweiter Rechnerblock, oder mehrere 
weitere Rechnerblocke, keine weiteren Arbitrationseinheiten 
beinhaltet. Bevorzugt ist auch, dass alle Rechnerblocke min- 
destens eine, vorzugsweise redundante, Arbitrationseinheit 
aufweisen. 

In einer weiteren AusfQhrungsvariante des erf indungsgemaBen 
Rechnerverbundes bzw. des Kontrollrechners sind darin ent- 
haltene Peripherieelemente (Sensoren, Aktoren, etc.) redun- 
dant ausgelegt . 

In einer weiteren bevorzugten Ausfiihrungsvariante k5nnen die 
Kontrollrechnersysteme zeitsynchron arbeiten. Da jedoch kein 
vollkommener Gleichlauf der Kontrollrechner erforderlich 
ist, konnen die Kontrollrechnersysteme auch zumindest teil- 
weise unsynchronisiert laufen. Eine teilweise Synchronisati- 
on kann vorzugsweise durch den Fahrzeugdatenbus, der redun- 
dant ausgefuhrt sein kann, mittels einer Zeitscheibensyn- 
chronisation oder anderen geeigneten Synchronisationsmitteln 
erfolgen. 
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Vorteilhafterweise k5nnen die Kontrollrechnersysteme physi- 
kalisch in einem oder mehreren Gehausen untergebracht sein. 
Besonders bevorzugt ist die Integration beider Kontrollrech- 
nersysteme in einem elektronischen Steuergerat far das e- 
lektronische Bremssystem oder die Aufteilung der Kontroll- 
rechnersysteme in verschiedene Gehause des elektronischen 
Bremssystems. Eine ganz besonders bevorzugte Aufteilung ist 
die Anordnung des zweiten Kontrollrechnersystems in einem an 
einen Fahrzeugdatenbus angeschlossenen Gehause, welches nor- 
malerweise zur Aufnahme der Fahrdynamik-Sensoren eines ESP- 
Systems vorgesehen ist. 

Gegenstand der Erfindung ist ferner ein mehrkerniges redun- 
dantes Kontrollrechnersystem gemaft Anspruch 1. 

Es ist bevorzugt, den ersten Kommunikationskontroller mit 
dem ersten Kontrollrechnersystem auf einem ersten Chip zu 
integrieren, und die erste Arbitrationseinheit zusammen mit 
einem Peripherietreiber auf einem dritten Chip zu integrie- 
ren. Eine Verbindung des ersten Chips mit dem dritten Chip 
erfolgt hierbei z. B. iiber Bonddrahte. Der Vorteil der ge- 
trennten Chips besteht darin, das z. B. bei Ausfall der 
Spannungsversorgung des ersten Chips der dritte Chip noch 
arbeitet, wobei dieser den Ausfall des ersten Chips z. B. 
daran erkennt, dass eine Fehlermeldung, auf Grund der nicht- 
vorhandenen Rechenergebnisse des ersten Kontrollrechners, an 
die erste Arbitrationseinheit gelangt, und diese iiber eine 
Busabschaltung den ersten Kommunikationskontroller vom Fahr- 
zeugdatenbus abtrennt. 

Der Rechnerverbund nach der Erfindung hat den Vorteil, dass 
das erfindungsgemaBe Redundanzkonzept transparent fur die 
Software ist. Es ist ein besonders geringer Sof tware-Anteil 
(Overhead) notig, um das Fehlertoleranz-Konzept nach der Er- 
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findung auszuf uhren. Dies trifft besonders dann zu, wenn die 
Arbitrationseinheiten, was bevorzugt ist, diskret (in Hard- 
ware) aufgebaut werden. 

Das erf indungsgemafie Kontrollrechnersystem weifit bevorzugt 
redundante Vergleichseinheiten auf , die uber den ersten Kom- 
munikationskontroller an den Fahrzeugdatenbus angeschlossen 
sind. 

In einer weiteren bevorzugten Ausf uhrungsf orm deaktiviert 
die lokal zugeordnete erste Arbitrationseinheit bei einer 
Fehlfunktion eines der zugeordneten Kontrollrechner das Kon- 
trollrechnersystem teilweise oder vollstandig. 

Weiterhin bevorzugt ist, dass die erste Arbitrationseinheit 
uber die Busabschaltung den ersten Kommunikat ions kont roller 
an den Fahrzeugdatenbus an- oder abkoppelt. 

In einer weiteren bevorzugten Ausfiihrungsvariante weist die 
erste Arbitrationseinheit mindestens ein zusatzliches, vor- 
zugsweise redundantes, Koitimunikationsmittel zur Kommunikat i- 
on mit mindestens der zweiten Arbitrationseinheit und/oder 
mit mindestens dem zweiten Kontrollrechnersystem und/oder 
mit mindestens einer weiteren Vergleichseinheit des zweiten 
Kontrollrechnersystems auf. Die Koitimunikationsmittel sind 
vorzugsweise als Fehlerleitung ausgebildet, wobei optische 
oder drahtlose Kommunikat ionsmittel, z. B. Glasf aserleitun- 
gen, Sende-/ Empf angsdioden (z. B. Leuchtdioden, Laserdio- 
den, Photodioden) , Funkubertragung, etc, auch denkbare Aus- 
f uhrungsf ormen darstellen. 

Eine bevorzugte Weiterbildung besteht darin, dass die erste 
Arbitrationseinheit mindestens eine Peripherieabschaltung 
aufweist, welche den Peripherietreiber aktivieren oder deak- 
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tivieren kann. 

In einer weiteren bevorzugten Ausfuhrungsform des erfin- 
dungsgemalien Kontrollrechnersystems sind Peripherieelemente 
liber ein Steuerbus system mit dem Peripherietreiber verbun- 
den. 

Weiterhin bevorzugt ist, dass die erste Arbitrationseinheit 
in einem Fehlerfall uber die Peripherieabschaltung den Peri- 
pherietreiber bzw. mindestens ein Peripherieelement deakti- 
• viert. 

Zur Steuerung der sicherheitskritischen Anwendungen werden 
in zunehmendem Mafce Kontrollrechner benStigt, die in vielen 
Fallen in sog. elektronischen Steuergeraten untergebracht 
sind. Unter dem Begriff "Kontrollrechner" werden ganz allge- 
mein Computersysteme wie z. B. Mikrocontroller verstanden, 
welche neben einer Zentralrecheneinheit (CPU) zusatzlich 
Speicher und Ein-/Ausgabef unktionen umfassen. "Mehrkernig" 
sind die Kontrollrechner dann, wenn sie zwei oder mehrere 
Zentralrecheneinheiten umfassen. 

© Ein weiterer Gegenstand der Erfindung ist daher die Verwen- 

dung des Rechnerverbunds gemaB Anspruch 9 in einem Fahrzeug- 
kontrollrechner, wobei der Rechnerverbund Algorithmen zur 
Steuerung von Funktionen eines Kraf tf ahrzeugs umfasst. 

Der Aufbau und die Funktion eines erf indungsgemalien mehrker- 
nigen Kontrollrechnersystems bzw. eines erf indungsgemalien 
Rechnerverbundes wird in der nachf olgenden Beschreibung fur 
eine bevorzugte Ausfuhrungsform anhand der Fig- 1 erlautert. 

Rechnerverbund 11 enthalt zwei Rechnerblocke 32 und 32' . 
Rechnerblocke 32, 32' ubergeben bzw. erhalten uber Kommuni- 
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kationskontroller 29, 29' Daten an bzw. von einem Fahrzeug- 
datenbus 24 (z. B. CAN, Flexray, TTCAN, TTP) . Diese Daten 
werden iiber Kommunikationseinrichtungen 31 an ein viertes 
Peripherieelement 26 (z. B. ein Aktuator) iibergeben. Weiter- 
hin werden auch Daten von einem dritten Peripherieelement 25 
(z. B. ein Sensor) iiber den Fahrzeugdatenbus 24 an die Kom- 
muni kationskontroller 29, 29' iibergeben. Die Rechnerblocke 
32, 32' erhalten auch Daten von Sensor 20 (z. B. Drucksensor 
oder Fahrdynamiksensor) , die an dem jeweiligen Rechnerblock 
32 oder 32' angeschlossen sind, bzw. iibergeben Daten an Ak- 
toren 20' (z. B. hydraulische Ventilspulen) . Der innere Auf- 
bau eines Rechnerblocks 32 , 32' wird im weiteren anhand des 
ersten Rechnerblocks 32 erlautert, da der zweite Rechner- 
block 32 ' des vorliegenden Beispiels praktisch identisch 
aufgebaut ist. 

Rechnerblock 32 enthait einen ersten Chip 7 und einen zwei- 
ten Chip 27, wobei diese auf einem gemeinsamen Chiptrager 28 
angeordnet sind. Auf dem ersten Chip 7 ist ein erstes Kon- 
trollrechnersystem 5, bestehend aus zwei zeitsynchron bzw, 
taktsynchron arbeitenden Kontrollrechnern 1, 2 angeordnet. 
Kontrollrechner 1, 2 weisen redundante Vergleichseinheiten 
12 r 13 auf, welche die Rechenergebnisse der Kontrollrechner 
1, 2 miteinander vergleichen und diese an den auf dem ersten 
Chip 7 integrierten ersten Kommunikationskontroller 29 wei- 
tergeben. Stimmen die Rechenergebnisse nicht uberein, so 
wird eine Fehlermeldung iiber zwei Fehlerleitungen 16, 18 an 
eine erste Arbitrationseinheit 9 ubermittelt. Die erste Ar- 
bitrationseinheit 9 schaltet im Fehlerfall iiber Busabschal- 
tung 23 den ersten Kommunikationskontroller 29 ab, so dass 
die fehlerhaften Daten der Kontrollrechner 1, 2 nicht mehr 
auf den Fahrzeugdatenbus 24 gelangen. Weiterhin schaltet die 
erste Arbitrationseinheit 9 im Fehlerfall iiber Peripherieab- 
schaltung 21 Peripherietreiber 22, an dem der Sensor 20 und 
der Aktor 20' angeschlossen sind, ab. 
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Sensor 20 bzw. Aktor 20' sind iiber steuergeratspezif ische 
Bussysteme 30 iiber den Peripherietreiber 22 an Rechnerblock 
32 angeschlossen. 

Rechnerverbund 11 ist aus zwei Rechnerblocken 32, 32' gebil- 
det, wobei dieser im Gegensatz zu den einzelnen Rechnerblo- 
cken 32, 32' fehlertolerant arbeitet. Ober die beiden Kommu- 
nikationskontroller 29, 29' werden die Daten der beiden Kon- 
trollrechnersysterae 5, 6 in jeweils einem Zeitschlitz/- 
fenster auf den Fahrzeugdatenbus 24 gesendet. Wenn eine der 
Arbitationseinheiten 9 oder 10 einen Rechenfehler in den 
Kontrollrechnersystemen 5 oder 6 feststellt, schaltet die 
Arbitationseinheit 9 oder 10 den betreffenden Kommunikati- 
onskontroller 29 oder 29' ab, so dass die Daten des falsch 
rechnenden Kontrollrechnersystems 5 oder 6 nicht mehr auf 
den Fahrzeugdatenbus 24 gelangen. Die an den Fahrzeugdaten- 
bus 24 angeschlossenen Kommunikationseinrichtungen 31 sind 
hierbei in der Lage, selbstandig die benStigten Daten aus 
dem iibriggebliebenen Zeitschlitz/ -fenster zu ubernehmen. 
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Paten tansprriche 

1 . Mehrkerniges redundantes Kontrollrechnersystem (5) fur 
sicherheitskritische Anwendungen in Kraf tf ahrzeugen, da- 
durch gekennzeichnet, dass mindestens zwei Kontrollrech- 
ner (1, 2), welche neben jeweils einem Rechnerkern mit 
teil- oder vollredundanten Peripherieelementen und teil- 
oder vollredundanten Speicherelementen ausgestattet 
sind, auf einem gemeinsamen Chiptrager (28) oder einem 
gemeinsamen Chip (7, 27) integriert sind, wobei die min- 
destens zwei Kontrollrechner (1, 2) rait mindestens einer 
gemeinsamen ersten Arbitrationseinheit (9), welche die 
Kontrollrechner (1, 2) auf eine Fehlfunktion hin iiber- 
wacht, verbunden sind, 

2. Kontrollrechnersystem nach Anspruch 1, dadurch gekenn- 
zeichnet, das. zumindest die mindestens zwei Kontroll- 
rechner (1, 2) eines Kontrollrechner systems (5) taktsyn- 
chron arbeiten. 

3. Kontrollrechnersystem nach Anspruch 1 oder 2, dadurch 
gekennzeichnet, dass das Kontrollrechnersystem (5) re- 
dundante Vergleichseinheiten (12, 13) aufweist. 

4. Kontrollrechnersystem nach mindestens einem der Anspru- 
che 1 bis 3, dadurch gekennzeichnet, dass die lokal zu- 
geordnete erste Arbitrationseinheit (9) bei einer Fehl- 
funktion eines der zugeordneten Kontrollrechner (1, 2) 
das Kontrollrechnersystem (5) teilweise oder vollstandig 
deaktiviert. 

5. Kontrollrechnersystem nach mindestens einem der Anspru- 
che 1 bis 4, dadurch gekennzeichnet, dass die erste Ar- 
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bitrationseinheit (9) tiber eine Busabschaltung (23) ei- 
nen erst en Kommiinikationskont roller (29) an einen Fahr- 
zeugdatenbus (24) an- Oder abkoppelt. 

6. Kontrollrechnersystem nach mindestens einen der Ansprii- 
che 1 bis 5, dadurch gekennzeichnet, dass die Arbitrati- 
onseinheit (9) mindestens eine Peripherieabschaltung 
(21) aufweist, welche einen Peripherietreiber (22) akti- 
vieren oder deaktivieren kann. 

7. Kontrollrechnersystem nach Anspruch 6, dadurch gekenn- 
zeichnet, dass Peripherieelemente (20, 20') uber ein 
Steuerbussystem (30) mit dem Peripherietreiber (22) ver- 
bunden sind. 

8. Kontrollrechnersystem nach mindestens einen der Ansprxi- 
che 2 bis 6, dadurch gekennzeichnet, dass die erste Ar- 
bitrationseinheit (9) in einem Fehlerfall uber die Peri- 
pherieabschaltung (21) den Peripherietreiber (22) bzw. 
mindestens ein Peripherieelement (20, 20') deaktiviert. 

9. Rechnerverbund (11) aus zwei oder mehreren Rechnerblo- 
cken (32, 32M/ dadurch gekennzeichnefc, dass mindestens 
ein Rechnerblock (32 f 32') zumindest zwei Kontrollrech- 
ner (1, 2) beinhaltet, welche neben jeweils einem 
Rechnerkern mit teil- oder vollredundanten Peripherie- 
elementen und teil- oder vollredundanten Speicherelemen 
ten ausgestattet sind, wobei die Kontrollrechner (1, 2) 
und/oder die Rechnerblocke (32, 32') auf einem gemeinsa 
men Chiptrager (28) oder einem gemeinsamen Chip (7, 27) 
integriert sind. 

10. Rechnerverbund (11) nach Anspruch 9, dadurch gekenn- 
zeichnet, dass mindestens ein, insbesondere alle Rech- 
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nerbldcke (32, 32') mindestens ein Kontrollrechnersystem 
(5) gemafi mindestens einem der Anspruche 1 bis 8 enthal- 
ten. 

11. Verwendung eines Rechnerverbunds (11) gemaB Anspruch 9 
in einem Fahrzeugkontrollrechner . 
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